Actualités normatives et réglementaires SSI & QSE / Line-C Conseil

Une nouvelle version de la norme ISO 19011 vient d'être publiée. La norme ISO 19011 donne les lignes directrices pour l'audit des systèmes de management.

L'évolution la plus significative porte sur les recommandations relatives aux méthodes d'audit à distance, en lien avec la norme ISO 17012:2024 qui donne des lignes directrices pour l'utilisation des méthodes d'audit à distance dans l'audit des systèmes de management. 

L'essentiel des autres modifications sont de l'ordre de la reformulation pour faciliter la lecture. 

Synthèse de l'évolution de la norme ISO 19011 version 2018 vers la norme ISO 19011 version 2026 :
 

Article 3 – Termes et définitions

• 3.4 - Ajout d’un nouveau terme « méthode d’audit à distance ».

L’article 3 précise également que le terme « observateur » n’inclut pas les experts techniques, et que l’expression « résultat d’un audit » est devenue « résultat d’un audit ». 

• 3.18 - Précision apportée sur le terme « observateur » qui n'inclut pas les experts techniques. 

Article 4 – Principes de l'audit

• 4.8 - Renforcement du principe de l'approche par les risques sur la mise en œuvre du programme d'audit. 

Article 5 – Pilotage d'un programme d'audit 

•  5.1 - Prise en compte du périmètre du système de management à auditer pour déterminer l’étendue du programme d’audit. 
• 5.3 - Les risques et les opportunités du programme d’audit doivent être identifiés (et non plus seulement pris en considération ). Les exemples de « risques liés aux ressources » ont été élargis au manque d’indépendance et/ou d’impartialité de l’auditeur, au choix de méthodes d’audit inadaptées, au non-respect du programme d’audit, au manque d'engagement de la direction, ... 
• 5.5.6 - Les rapports d'audit doivent être diffusés aux « parties déterminées au préalable » et non aux « parties intéressées pertinentes ». 

Article 6 - Réalisation d'un audit

• 6.3.2.1 - Dans ce chapitre d'approche par les risques pour la planification, des considérations ont été ajoutés pour les risques lors de la réalisation d'audits conjoints. 
• 6.4.8 - Ajout d'une recommandation de définir et communiquer les critères utilisés par les organismes d'audit, en cas de classement des non-conformités.

Article 7 - Compétences et évaluation des auditeurs

• 7.2 - Pour déterminer les compétences d’un auditeur pour un audit donné, recommandation de tenir compte de ses connaissances et et aptitudes relatives aux méthodes d’audit qui seront utilisées. 
• 7.2.3.2 - Les auditeurs de systèmes de management devraient avoir des connaissances et aptitudes sur la sécurité de l'information, et notamment sur la protection de la vie privée. 

 
Annexe A - Lignes directrices supplémentaires destinées aux auditeurs pour la planification et la réalisation des audits.

Plusieurs paragraphes ont été ajoutés dans les clauses de l'annexe A. Les modifications les plus importantes concernant la clause A.12 (ajout de texte relatif à la réalisation des audits de seconde partie), ainsi que les clauses A.15 et A.16. 

Céline BENI a validé la transition de sa certification d'auditeur IRCA ISO 14001 sur la version 2026 : 

 Continuing Professional Development Certificate

Il s'agit d'un cap symbolique, souvent qualifié d’« âge de raison », qui reflète bien notre parcours. 

Line-C Conseil est un cabinet désormais solide, expérimenté, et toujours proche du terrain pour accompagner vos systèmes de management. 

Depuis nos débuts, nous aidons les organisations à construire et faire vivre des dispositifs réellement utiles autour de la sécurité, de la qualité et de la conformité : ISO 27001, ISO 9001, RGPD, HDS, ISO 14001, ISO 22301, ISO 45001et désormais ISO 42001 pour l’IA responsable. 
Notre fil conducteur est resté le même : transformer les exigences normatives en pratiques concrètes, adaptées à votre réalité.

En 7 ans, nous avons vu se renforcer les enjeux de cybersécurité, de protection des données, d’amélioration continue et, plus récemment, de gouvernance de l’IA. 
Cette expérience nous a confortés dans quelques convictions simples :

• un système de management efficace doit être lisible, pragmatique et partagé par les équipes ;
• la conformité n’a de sens que si elle sert la performance, la confiance et la maîtrise des risques ;
• il est plus pertinent d’intégrer les référentiels (ISO 27001, ISO 9001, RGPD, ISO 42001, etc.) que de les empiler.

Pour les prochaines années, notre ambition est claire : continuer à vous accompagner dans la sécurisation de vos informations, l’amélioration de vos pratiques et l’intégration responsable de l’IA, avec des approches sur mesure et opérationnelles.
Line‑C Conseil a 7 ans, et nous sommes heureux de poursuivre ce chemin à vos côtés

Synthèse de l'évolution de la norme ISO 14001 version 2015 à la norme ISO 14001 version 2026 :

Articles 1 à 3 : Domaine d’application, références normatives, termes et définitions

L’ISO 14001:2026 apporte des améliorations mineures mais importantes sur  les articles 1 à 3 qui posent les fondements de la norme : une terminologie actualisée (par exemple, « document »), une formulation plus claire (« respect des obligations de conformité ») et des définitions harmonisées et élargies, alignées sur la Structure harmonisée.

Les notes de l’article 3 sont informatives et contribuent à clarifier l’intention des exigences. 

Article 4 : Contexte de l’organisation

L’article 4 exige des organisations qu’elles prennent en compte des conditions environnementales plus larges, telles que le changement climatique, la biodiversité, la pression sur les ressources et la santé des écosystèmes, lorsqu’elles déterminent leur contexte et les attentes des parties prenantes. Une approche axée sur le cycle de vie doit également éclairer les décisions relatives au périmètre.

Article 5 : Leadership

Les attentes envers le leadership ont été renforcées. La politique environnementale doit désormais refléter des engagements plus larges, tels que la préservation des ressources naturelles et la protection des écosystèmes, et doit être accessible et communiquée efficacement.

Article 6 : Planification

La planification a été restructurée pour plus de clarté, renforçant ainsi l’approche fondée sur les risques, la perspective du cycle de vie et l’intégration des conditions environnementales. Le nouvel article 6.3 exige une planification et un contrôle systématiques des changements organisationnels, y compris des évaluations d’impact préalables au changement.

Article 7 : Support

La terminologie a été mise à jour : les documents relatifs aux compétences, à la communication et aux autres systèmes de management environnemental doivent être « disponibles », et non plus seulement « conservés ». L’annexe reconnaît le rôle croissant des outils de suivi numérique.

Article 8 : Fonctionnement

 L’expression « processus externalisés » est remplacée par « processus, produits et services ». Par conséquent, le contrôle opérationnel s’étend désormais au-delà des processus externalisés à l’ensemble des processus, produits et services fournis par des tiers et pertinents pour les résultats du système de management environnemental (SME).

Les mesures de préparation aux situations d’urgence doivent refléter directement les scénarios d’urgence identifiés lors de la planification.

Article 9 : Évaluation de la performance

Les audits internes doivent avoir des objectifs définis et la revue de direction doit être structurée en éléments d’entrée et de sortie explicites. Un système de suivi, de mesure, d’analyse, d’évaluation de la conformité et de suivi approprié doit être disponible et traçable.

Article 10 : Amélioration

L’article 10.3 a été intégré à l’article 10.1, soulignant que l’amélioration continue est systématique et liée à l’évaluation des performances, aux actions correctives et à l’atteinte des résultats escomptés. Les actions correctives doivent prendre en compte leurs impacts environnementaux pertinents et être étayées par une documentation accessible.

La révision de la norme ISO 14001 touche à sa fin et sa publication est prévue en mars 2026. 
Le contenu de la révision porte sur :

• un alignement des définitions avec la norme ISO 9001
• une clarification des risques et opportunités par rapport aux aspects & impacts environnements spécifiques
• une précision sur les situations d'urgences et situations dégradées et accidentelles
• un accent sur la gestion du changement avec un chapitre "planification du changement" 
• des précisions sur la prise en compte de la perspective de cycle de vie dans la mise en œuvre des principes de maitrise et d'influence
• des renforcements et précisions sur des exigences déjà existantes (par exemple : revue de direction plus détaillée).

 Le label Rexcelys®, particulièrement adapté aux TPE/PME, est porté par France Qualité • AFQP. Il est basé sur la norme  ISO26000 et sur les 17 Objectifs de Développement Durables (ODD).
Céline BENI a été formée à  Rexcelys® et peut accompagner les entreprises en RSE avec Rexcelys®.

Par ailleurs, ce label permet également de travailler sur les normes VSME, cadre volontaire pour les PME souhaitant mettre en place une stratégie de développement durable. 

Céline Béni, experte AFNOR BAO en audit et accompagnement ISO 27001, décrypte les principaux freins rencontrés et partage des solutions concrètes pour réussir sa démarche jusqu’à la certification.

https://bao.afnor.org/etude-de-cas/parole-expert-demarche-de-certification-iso-27001/

Usine Nouvelle - Face à l’augmentation des cyberattaques (+15 % en 2024 selon l’ANSSI), sécuriser ses systèmes d’information n’est plus une option. La norme internationale ISO 27001 offre un cadre structurant pour protéger efficacement les données et améliorer en continu sa cybersécurité 

https://www.usinenouvelle.com/editorial/iso-27001-comment-aller-au-bout-de-la-demarche-de-certification.N2228589

Programme d'amélioration de la cybersécurité de l’Entreprise Étendue Aérospatiale et Défense proposé par BoostAeroSpace.
AirCyber, accompagnement des fournisseurs aéronautiques à gagner en maturité cyber.

La norme ISO 53800, parue en mai 2024, offre des lignes directrices pour promouvoir l'égalité entre les femmes et les hommes. Issue d'une initiative française, elle vise à combler les inégalités persistantes sur le marché du travail et à lutter contre les violences faites aux femmes. Ce document s'adresse à divers organismes, les encourageant à évaluer et améliorer leurs pratiques en matière d'égalité. Bien qu'elle ne soit pas certifiable, elle sert de guide méthodologique et complète des labels existants comme le label Égalité. La norme aborde des questions précises telles que la prise en compte des congés de maternité et l'utilisation d'une écriture inclusive. Elle reconnaît également l'importance de la diversité, incluant l'orientation sexuelle, dans le cadre de l'égalité. 

L'ISO 10009 définit les recommandations pour la sélection d'outils qui peuvent être mis en œuvre dans un Système de Management de la Qualité (définition / description des processus, résolution de problèmes, identification des axes d’amélioration, ...).
 Cette norme, parue en juin 2024, vise à guider la sélection d'outils parmi une liste d'outils qualité qui peuvent avoir des applications utiles au sein d’un Système Management Qualité ISO 9001.
L'ISO 10009 fournit une brève description de chacun des outils présentés et fournit également des instructions sur la façon dont l’outil peut être utilisé.

Une nouvelle version du référentiel de certification des Hébergeurs de données de santé (HDS) a été publiée au JORF le 16/05/2024. 
Les hébergeurs de données de santé déjà certifiés HDS devront obtenir la certification HDS conformément à
ce nouveau référentiel HDS au plus tard le 16/05/2026. Quant aux nouveaux candidats à la certification HDS, ils seront évalués par rapport à cette nouvelle version du référentiel HDS dès le 16/11/2024. 
Cette nouvelle version du HDS permet de :

• Renforcer la souveraineté des données avec de nouvelles exigences pour renforcer les garanties en termes de protection
• Clarifier le périmètre des types d’activité d’hébergement et surtout l’activité "5" concernant l’administration et l’exploitation
• Préciser l’articulation entre les exigences HDS et les exigences SecNumCloud
• Intégrer dans le référentiel de certification HDS certaines évolutions de la norme ISO 27001.

Les normes ISO sous structure HLS ont été amendées avec application immédiate.
Ces amendements visent à intégrer la prise en compte du changement climatique. 
Ces modifications portent sur les chapitres 4.1 et 4.2 des normes de management qui ont été complétés comme indiqué ci-dessous : 

§4.1 : 

• L’organisme doit déterminer si des enjeux découlent des changements climatiques.

§4.2 : 

• NOTE : Les parties intéressées concernées peuvent avoir des exigences relatives aux changements climatiques.

Cette évolution n’appelle pas de modalités de transition pour les organismes certifiés (pas de modification des certificats émis ou du cycle de certification en cours) et ces points seront donc audités dès les prochains audits de certification.

Les amendements sont disponibles en téléchargement gratuit sur le site web de l’AFNOR https://www.boutique.afnor.org/ 

L'ISO 42001 définit le Système de Management de l'Intelligence Artificielle (SMIA). Cette norme parue en décembre 2023 est une norme volontaire et certifiante, construite sur le même schéma que l'ISO 27001. 
L'ISO 42001 s'adresse aux entreprises qui développent, déploient ou utilisent des Intelligences Artificielles (IA). 

Au cœur de la norme, il y a l'appréciation des risques et des impacts qui aboutit à la mise en place de mesures de contrôles (annexe A).
Le plus de la norme ISO 42001 est sûrement dans les lignes directrices d'implémentation des mesures (annexe B).
Et en complément, quelques normes essentielles au SMIA:

• l'ISO 22989 définit la terminologie et les concepts de l'IA
• l'ISO 23894 propose des recommandations pour le management des risques liés à l'IA